Contrat de sous-traitance des données personnelles
Le contrat prévu par l'article 28 du RGPD entre un client de caisse.bzh (responsable de traitement) et l'éditeur (sous-traitant).
Projet : ce texte est un projet (version 2026-10). Il n'a pas été relu par un juriste et n'est pas encore proposé à l'acceptation. Il n'engage pas l'éditeur en l'état.
1. Objet
Le présent contrat fixe les conditions dans lesquelles l'éditeur de caisse.bzh (le sous-traitant) traite des données personnelles pour le compte du client (le responsable de traitement), dans le cadre de l'abonnement au service caisse.bzh.
Il complète les conditions de l'abonnement. Pour une collectivité ou un établissement public, l'annexe de protection des données du marché prévaut sur ce texte.
2. Description du traitement
Nature et finalité : hébergement et exploitation d'un logiciel de caisse en ligne, pour enregistrer les ventes du client, tenir son journal de caisse et gérer son équipe et ses clients.
Durée : celle de l'abonnement, puis la durée nécessaire à la restitution et à la suppression des données prévues à l'article 8.
- Personnes concernées : les membres de l'équipe du client, ses clients et visiteurs lorsque le client enregistre leurs coordonnées.
- Données de l'équipe : nom, adresse e-mail, téléphone, rôle, pointages, nom de l'opérateur porté sur chaque écriture du journal de caisse.
- Données des clients et visiteurs : celles que le client choisit d'enregistrer (fiche client, réservation, commande en ligne).
- Le service n'a pas besoin de données sensibles au sens de l'article 9 du RGPD. Le client s'engage à ne pas en saisir.
3. Instructions du responsable de traitement
Le sous-traitant ne traite les données que sur instruction documentée du client. L'usage du service selon sa documentation vaut instruction.
Si le sous-traitant estime qu'une instruction enfreint la réglementation, il en informe le client.
4. Confidentialité
Les personnes autorisées à accéder aux données pour le compte du sous-traitant sont tenues à la confidentialité.
5. Sécurité
Le sous-traitant met en œuvre les mesures décrites sur la page « Confiance et sécurité » du site caisse.bzh. Cette page dit aussi ce que le service ne fait pas encore.
6. Sous-traitants ultérieurs
La liste des sous-traitants ultérieurs est publiée sur la page « Sous-traitants » du site caisse.bzh. Le client est informé avant l'ajout ou le remplacement d'un sous-traitant ultérieur et peut s'y opposer.
Le sous-traitant impose à ses sous-traitants ultérieurs des obligations de protection des données équivalentes à celles du présent contrat.
7. Assistance et violation de données
Le sous-traitant aide le client, dans la mesure du possible, à répondre aux demandes des personnes concernées (accès, rectification, effacement, portabilité) et à remplir ses propres obligations de sécurité et d'analyse d'impact.
Le sous-traitant notifie au client toute violation de données personnelles dans les meilleurs délais après en avoir pris connaissance, avec les informations dont il dispose.
8. Sort des données en fin de contrat
Au terme de l'abonnement, et selon le choix du client, le sous-traitant restitue les données ou les supprime, sauf celles que la loi impose de conserver. Les écritures du journal de caisse sont conservées pendant la durée légale.
Pour une collectivité, aucune donnée n'est supprimée sans instruction écrite.
9. Information et contrôle
Le sous-traitant met à la disposition du client les informations nécessaires pour démontrer le respect de ses obligations et permet la réalisation d'audits, dans des conditions à convenir.